金融分野のサイバーセキュリティ対応を担う金融保安院で、外部からの不正アクセスによる情報流出が発生した。流出は48社分、約130件のファイルに及ぶ可能性がある。金融当局が同院で金融業界全体のセキュリティ刷新策を打ち出してから4日後の発覚で、12日に控える「FISCON 2026」にも影響が広がっている。

金融保安院によると、9日午後3時ごろ、金融会社の評価を支援する「常時評価システム」で異常な外部アクセスを確認し、情報流出が発生したことを把握した。攻撃は同日午後1～2時ごろに集中し、午後2時19分には当該システムのサービスを停止したという。

追加で確認された被害は、金融会社48社に関する約130件のファイルと推定される。大手金融会社は含まれていないとしている。

同院は、侵害を受けたシステムについて、脆弱性分析や評価結果といったセキュリティ関連情報を収集するものではなく、一般顧客の金融取引を処理するシステムでもないと説明した。流出した資料の大半は、イベント案内の送信履歴や同意書などの事務書類で、金融会社のシステム構成図のようなセキュリティ情報や、住民登録番号、顧客の機微な個人信用情報は含まれていないとしている。

もっとも、金融業界のセキュリティを支援する専門機関のシステムが外部から侵害され、実際に情報流出に至った事実そのものを重くみるべきだとの指摘も出ている。

今回の攻撃では、金融監督院になりすました偽装アカウントが使われたとされる。攻撃者は認可システムの脆弱性を悪用し、資料を閲覧・ダウンロードしたうえで、数百のIPアドレスを切り替えながらアクセスを繰り返したという。

金融監督院の実際のアカウント情報が漏えいしたり不正使用されたりしたわけではないと把握されている。ただ、金融当局の権限を装ったアクセスが情報流出につながったことで、金融保安院の本人確認やアクセス権限管理の妥当性を改めて検証すべきだとの見方が強まっている。

金融保安院は警察にIP追跡を要請し、ソウル警察庁サイバー捜査隊が捜査に着手した。無差別に脆弱性を探るタイプの攻撃とは異なり、金融保安院を狙った標的型だった可能性も取り沙汰されている。

同院は事故確認後、金融委員会と韓国インターネット振興院（KISA）に届け出た。追加流出を防ぐための緊急対策を講じるとともに、事故原因と被害範囲の精査を進めている。対象の金融会社には個別に流出の事実を通知しており、流出情報に含まれる利用者などにも二次被害防止策を含めて案内する方針だ。二次被害が発生した場合は積極的に賠償する考えも示した。

金融当局も事故の経緯把握に乗り出した。金融委員会と金融監督院は11日午前、金融保安院に人員を派遣し、情報保護水準や管理実態の点検を始めた。流出規模や発生経緯に加え、偽装アカウントの作成を許した要因、既存のアクセス権限管理やインシデント対応体制の妥当性も確認する見通しだ。

今回の事故が注目を集めるのは、金融当局が4日前の5日、金融保安院の汝矣島分院で金融業界全体のセキュリティ体制刷新策を公表した直後だったためだ。金融委員会は同日、イ・オクドン金融委員長主宰の「AI時代のセキュリティ体制刷新に向けた金融業界懇談会」を開いた。

この場で金融委員会は、約580社の金融会社を対象に外部接点と内部統制体制を一斉点検する方針や、大手金融会社に対する脆弱性分析・評価の実施頻度を年1回から年2回以上へ引き上げる案を示した。侵害事故への先制対応力を高める狙いがある。

金融保安院は、こうした政策の主要な実行機関を担う立場にある。金融当局は、中小規模の金融会社のセキュリティ能力向上に向け、金融保安院がAIを活用して外部接点や脆弱要因を常時検出し、対応策まで提供する「ワンストップAI防御サービス」を12月から段階的に支援するとしていた。

その実行機関で情報流出が起きたことで、政策の実効性だけでなく、実施主体そのもののセキュリティ水準をどう担保するかが新たな課題として浮上している。偽装アカウントが侵入に使われたとされる点も、アクセス権限の承認・管理体制に問題がなかったかを問う材料になっている。

12月の支援開始まで約1カ月に迫る一方、今回の侵害経緯はなお全容が解明されていない。事故が同サービスと直接結び付いているわけではないものの、金融会社のセキュリティ高度化策が信頼を得るには、実行機関の管理体制に対する検証が不可欠になりそうだ。

事故は、12日に開催される「FISCON 2026」を目前に控えて発生した点でも波紋を広げている。金融業界のサイバー脅威対応を議論する代表的なイベントの主催機関が、自らのシステム侵害への対応に追われる事態となったためだ。

金融保安院は事故の影響を受け、FISCON 2026のVIP向け行事を全面的に中止した。金融業界の主要経営陣や情報保護責任者らが参加し、金融セキュリティの将来戦略を議論する予定だった一部公式日程が取りやめになった。

FISCONは今年で20周年を迎える。金融保安院が金融情報保護協議会、金融保安フォーラムと共同主催する、韓国の代表的な金融情報保護イベントだ。金融委員会や金融監督院などが後援し、金融会社のCEOやCISO、国内外のセキュリティ専門家らが参加して、金融セキュリティ政策や最新のサイバー脅威、対応戦略を議論する場とされる。

今年は、AIが変える将来の金融環境に対応するセキュリティ戦略の模索を掲げていた。金融保安院は、AIによって高度化するサイバー攻撃への対応や、先制的なセキュリティ体制への転換に向けた実務的な解決策を共有する予定だった。主要テーマも、脅威の事前検知と対応、セキュリティ管理体制の高度化に集中している。

公表済みのプログラムでは、「AI時代の信頼とセキュリリティ」「ゼロトラストに基づくセキュリティ戦略」「AIを活用したサイバー脅威対応策」などが主要講演に並んでいた。個別セミナーでも、ネットワーク分離規制の変化に伴う金融会社の対応戦略、AIガバナンス構築、金融業界へのハッキング攻撃と防御手法の変化、AIベースの侵入テストなどが取り上げられる予定だった。

イベント全体を通じて強調されていたのは、サイバー脅威を事前に発見し、迅速に対応できるセキュリティ能力の確保だ。しかし、主催機関自身で情報流出が起き、VIP向け行事まで中止に追い込まれたことで、その原則が自組織のシステムでどこまで徹底されていたのかを検証する必要性が一段と高まっている。

新たな技術や対応戦略を提示するだけでなく、金融保安院が自ら既存のセキュリティ体制の問題点をどこまで具体的に洗い出し、改善につなげられるかが、専門機関としての信頼回復の焦点になりそうだ。

金融セキュリティ関連法制の整備も、当初想定より遅れている。金融委員会は2024年8月にデジタル金融セキュリティ法の制定計画を初めて示し、前年のFISCONではイ・オクドン委員長が「デジタル金融安全法」の制定議論に直ちに着手すると表明していた。

ただ、2年以上にわたり法制化の必要性が唱えられてきたにもかかわらず、法案はいまも策定段階にとどまる。金融委員会は5日に公表した刷新策で、金融セキュリティ規律の拡大と管理責任の強化に向けたデジタル金融安全法案を、2027年1～3月期に策定する日程を示した。

金融業界で侵害事故が相次ぐなか、セキュリティ専門機関でも情報流出が起きたことで、脅威に対応する制度整備のスピードが十分かどうかを改めて点検すべきだとの声も強まっている。

金融保安院は、現時点で確認されている情報以外に追加流出がないかを調べるとともに、事故原因の究明を含めて情報保護管理体制全般を再点検し、抜本的な再発防止策を講じる方針を示した。

同院関係者は「信頼が何より重要であるにもかかわらず、このような事態を招き申し訳ない。今回の事故を厳粛に受け止め、情報保護体制全般を徹底的に点検・改善し、信頼回復に全力を尽くす」とコメントした。